Colou um comando no Terminal? Verifique seu Mac agora.

1O que a linha colada faz

Desde o fim de 2025, páginas falsas de ferramentas de IA e anúncios de busca do tipo "limpe seu Mac" pedem a usuários de Mac que abram o Terminal e colem uma linha. A Sophos rastreou três campanhas entre novembro de 2025 e fevereiro de 2026 que instalavam assim o ladrão de dados MacSync: a linha baixa um script, pede a senha do seu Mac e depois leva dados do Porta-Chaves, logins salvos e frases de recuperação de carteiras de criptomoedas (The Hacker News, 16 de março de 2026). A Microsoft relata as mesmas iscas para os ladrões Atomic (AMOS), MacSync e DigitStealer, muitas vezes alcançados por anúncios de busca (Security Affairs sobre o relatório da Microsoft, 4 de fevereiro de 2026).

Por que nada te avisou: o macOS pergunta antes de você abrir pela primeira vez um software baixado da internet (Segurança da Plataforma Apple), e sabe que um arquivo veio da internet por uma marca de quarentena que os navegadores colocam. Arquivos baixados com curl no Terminal podem não receber essa marca (MITRE ATT&CK T1553.001), e um script passado direto para o bash nunca é aberto como app, então o aviso nunca aparece.

Essas linhas costumam se parecer com uma destas, com um endereço da web no meio:

• curl -fsSL https://… | bash
• bash -c "$(curl -fsSL https://…)"
• echo … | base64 -d | sh

2Verificação 1: itens de início e apps em segundo plano

Abra Ajustes do Sistema → Geral → Itens de Início e Extensões (no macOS 14 e anteriores: Itens de Início). Olhe Abrir ao Iniciar Sessão e Permitir em Segundo Plano.

Qualquer coisa que você não reconheça merece um olhar mais atento, principalmente um item com nome estranho, sem desenvolvedor indicado ou que apareceu no dia em que você colou o comando. Desativar um item em segundo plano impede que ele volte a iniciar; não o apaga.

3Verificação 2: launch agents e daemons

Programas que iniciam sozinhos deixam um pequeno arquivo em uma de três pastas. Isto lista esses arquivos, os mais recentes primeiro:

ls -lt ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

A maioria dos nomes tem o formato com.company.app.plist. Procure arquivos com data perto do dia em que você colou o comando, nomes que imitam a Apple (com.apple…) dentro da sua própria pasta Library ou nomes feitos de letras aleatórias. Para ver qual programa um arquivo inicia, troque NAME pelo nome dele:

plutil -p ~/Library/LaunchAgents/NAME.plist

4Verificação 3: os arquivos de inicialização do seu shell

Seu shell executa estes arquivos toda vez que o Terminal abre, então um ladrão pode esconder uma linha ali. Isto mostra quando cada um foi alterado pela última vez:

ls -lT ~/.zshrc ~/.zprofile ~/.bash_profile ~/.bashrc ~/.profile 2>/dev/null

Se algum mudou em um dia em que você não lembra de tê-lo editado, veja as últimas linhas dele:

tail -n 20 ~/.zshrc

Linhas que você não escreveu e que mencionam curl, base64, osascript ou um endereço da web são um achado.

5Verificação 4: o que você colou

O Terminal guarda as linhas que você executou. Isto mostra as últimas 30 que baixaram ou decodificaram algo:

grep -E 'curl|wget|base64|osascript' ~/.zsh_history | tail -n 30

6Verificação 5: apps que o macOS não aceitaria

O Gatekeeper do macOS pode dizer quais apps da sua pasta Aplicativos ele não aceitaria (sem assinatura de um desenvolvedor identificado ou sem verificação da Apple):

for a in /Applications/*.app; do spctl -a "$a" 2>/dev/null || echo "Not accepted: $a"; done

Alguns apps antigos ou de código aberto aparecem aqui e não têm problema. O achado é um app que você não lembra de ter instalado. Faça o mesmo a olho na sua pasta Downloads, os mais recentes primeiro:

ls -lt ~/Downloads | head -n 20

7Verificação 6: acesso remoto e perfis

Abra Ajustes do Sistema → Geral → Compartilhamento. Compartilhamento de Tela, Sessão Remota, Gerenciamento Remoto e Compartilhamento de Arquivos devem estar desativados, a menos que você mesmo os use.

Depois abra Ajustes do Sistema → Geral → Gerenciamento de Dispositivo (em versões mais antigas do macOS: Privacidade e Segurança → Perfis). Um perfil que você não instalou pode passar sua navegação pelo servidor de outra pessoa ou confiar nos certificados dela. Remova um só se tiver certeza de que não é da sua escola ou empresa.

8Verificação 7: quem está falando com a internet

Isto conta as conexões abertas com a internet por programa:

lsof -nP -iTCP -sTCP:ESTABLISHED | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn

Seu navegador, o Mail, o Mensagens e o iCloud são normais. Um nome que você não conhece, ou um executor de scripts como osascript, python3 ou curl mantendo conexões, merece um olhar. Para ver os programas que esperam conexões de outros computadores:

lsof -nP -iTCP -sTCP:LISTEN

9Se você encontrar algo

1. Desconecte-se do Wi-Fi e tire qualquer cabo de rede.
2. A partir de outro dispositivo, troque primeiro as senhas da sua Conta Apple, do seu e-mail e do seu banco, encerre todas as outras sessões e ative a autenticação de dois fatores.
3. Considere perdida toda carteira de criptomoedas cuja frase de recuperação ou chaves estavam neste Mac. Crie uma carteira nova em um dispositivo limpo e mova os fundos. Um ladrão pode já ter a frase, e uma transferência não pode ser desfeita. Veja segurança de carteiras de criptomoedas.
4. Remova o que encontrou: encerre no Monitor de Atividade, apague o arquivo do launch agent e o app, e reinicie. Se não tiver certeza de que encontrou tudo, faça backup dos seus documentos (não dos seus apps) e apague o Mac: Ajustes do Sistema → Geral → Transferir ou Redefinir → Apagar Conteúdo e Ajustes.
5. Viu um alerta de que um malware foi bloqueado e movido para o Lixo? É o XProtect, a proteção integrada do Mac, removendo um arquivo que reconheceu. Ótimo, mas verifique de onde veio o arquivo: o mesmo site pode ter enviado mais coisas. Veja o que a proteção integrada do Mac faz.

10Antes de colar qualquer coisa no Terminal de novo

• Digite você mesmo o endereço do site; não siga um anúncio nem um link de um chat.
• Leia a linha antes de colar. | sh, | bash, base64 e osascript significam que ela executa algo.
• Nenhuma correção de verdade para um site, um captcha ou um download "quebrado" precisa do Terminal.
• Se uma linha pedir a sua senha, pare e se pergunte para que ela serve.

11Perguntas

Meu Mac foi hackeado. O que faço primeiro?

Desconecte-o da internet e depois, de outro dispositivo, troque as senhas da sua Conta Apple, do e-mail e do banco e encerre todas as outras sessões. Mova as criptomoedas cuja frase de recuperação estava no Mac para uma carteira nova criada em um dispositivo limpo. Depois faça as verificações desta página ou apague o Mac.

Como saber se meu Mac está hackeado agora?

Procure itens de início ou launch agents que você não reconhece, arquivos do shell que você não alterou, apps que o macOS não aceitaria e programas desconhecidos com conexões à internet. Pedidos de senha que você não provocou e ajustes do navegador que mudaram sozinhos também são sinais.

O macOS disse que um malware foi bloqueado e movido para o Lixo. Estou seguro?

Significa que o XProtect reconheceu um arquivo malicioso conhecido e o removeu antes que fosse executado. Verifique de onde veio o arquivo e faça as verificações acima: o mesmo site ou e-mail pode ter entregado algo que o XProtect não reconheceu.

É seguro colar um comando no Terminal?

Só quando você mesmo digitou o endereço do site e sabe o que a linha faz. Nunca cole uma linha de um anúncio, um pop-up, uma página de "confirme que você é humano" ou um chat. Se ela passa um download para sh ou bash, decodifica base64 ou pede a sua senha, pare.

Preciso apagar meu Mac?

Se você não consegue identificar e remover o que encontrou, ou se o Mac guardava frases de recuperação ou chaves de muito valor, apagar é a escolha segura. Faça backup dos seus documentos, não dos seus apps, e entre de novo nas contas do zero.